data eniadatavenia.pt/ficheiros/edicao09/datavenia09_p223_250.pdf · o direito ao esquecimento /ser...

Data enia REVISTA JURÍDICA DIGITAL

9 NOVEMBRO 2018

índice

DIREITO DA NACIONALIDADE

005 Alterações em sede de oposição à aquisição da nacionalidade portuguesa

António Xavier Beirão, Procurador da República

DIREITO PROCESSUAL PENAL E DIREITO CONSTITUCIONAL

027 Conformação constitucional das presunções hominis no âmbito do processo penal

Aquilina Ribeiro, Advogada

DIREITO PENAL E DIREITO CONSTITUCIONAL

067 A natureza jurídico-penal das imunidades dos titulares dos órgãos políticos de soberania

Afonso Leitão, Advogado

PROVA EM DIREITO PROCESSUAL

121 Os limites da valoração da prova gravada por parte dos Tribunais de Recurso

Aquilina Ribeiro, Advogada

DIREITO CONSTITUCIONAL E ARBITRAGEM

161 Da inconstitucionalidade do artigo 5.º, n.º 1, da Lei n.º 63/2011 de 14 de Dezembro

Narciso Magalhães Rodrigues, Juiz de Direito

PROTEÇÃO DE DADOS PESSOAIS

197 A Eurojust e a proteção de dados pessoais Fátima Galante, Juíza Desembargadora

PROTEÇÃO DE DADOS PESSOAIS

223 A Internet e o Direito ao Esquecimento: análise jurisprudencial

Fátima Galante, Juíza Desembargadora

DIREITOS FUNDAMENTAIS / DIREITO CIVIL

251 Direitos das pessoas com deficiência José Francisco Moreira das Neves, Juiz Desembargador

DIREITO FISCAL

271 Contrato de agência: tributação em IVA Adriana Monteiro, Advogada

Data enia

Publicação científico-jurídica em formato digital ISSN 2182-8242 Ano 06 | N.º 09 Periodicidade semestral Novembro de 2018 Propriedade e Edição: © DataVenia Marca Registada n.º 486523 – INPI Internet: www.datavenia.pt Contacto: [email protected]

A Data Venia é uma revista científico-jurídica em formato digital, tendo por objeto a publicação de doutrina, artigos, estudos, ensaios, teses, pareceres, crítica legislativa e jurisprudencial, apoiando igualmente os trabalhos de legal research e de legal writing, visando o aprofundamento do conhecimento técnico, a livre e fundamentada discussão de temas inéditos, a partilha de experiências, reflexões e/ou investigação.

As opiniões expressas são da exclusiva responsabilidade dos respectivos autores e não traduzem necessariamente a opinião dos demais autores da Data Venia nem da sua administração.

A citação, transcrição ou reprodução dos conteúdos desta revista estão sujeitas ao Código de Direito de Autor e Direitos Conexos.

É proibida a reprodução ou compilação de conteúdos para fins comerciais ou publicitários, sem a expressa e prévia autorização da Administração da Data Venia e dos respectivos Autores

Data Venia PROTEÇÃO DE DADOS PESSOAIS

Ano 6 ⬧ n.º 09 [pp.223-250]

DV9 ∙ 223 |

A Internet e o Direito ao Esquecimento:

Análise jurisprudencial

Fátima Galante Juíza Desembargadora

SUMÁRIO: I. Direito de informação e privacidade. II. Directivas e

Regulamentos Comunitários. III – Legislação Nacional. IV. Direito ao

Esquecimento. V. Direito ao esquecimento – Jurisprudência. VI. Caso

Google Spain. VII. Direito ao esquecimento – controvérsia

subsequente. VIII. Direito ao esquecimento - conclusão. IX. Uma

perspectiva procedimental. Conclusões.

“The Internet is the first thing that humanity has built that

humanity doesn't understand, the largest experiment in anarchy

that we have ever had.” - Eric Schmidt

I. Direito de informação e privacidade

Vivemos numa Sociedade da Informação - desenvolvimento da telemática -

conjugação das ciências da informática com as da telecomunicação - que permite

a transmissão imediata e à distância de dados pessoais, à velocidade de um toque

no teclado do computador.

Mais correto será falar de Sociedade da Comunicação: o que se pretende

impulsionar é a comunicação, e só num sentido muito lato se pode qualificar toda

a mensagem como informação (ASCENSÃO, José de Oliveira, Direito da Internet

e da sociedade da informação, Rio de Janeiro: Forense, 2002, p. 71).

Fátima Galante A Internet e o Direito ao Esquecimento

| 224 ∙ DV9

A Internet removeu obstáculos técnicos e institucionais à difusão e à receção

de informação e criou uma plataforma para diversos serviços da sociedade da

informação; motores de busca têm papel fulcral no quotidiano das pessoas e das

empresas, em particular os motores de busca genéricos de utilização grátis.

Confronto de dois interesses: interesse do indivíduo que pretende ver as

informações sobre si salvaguardadas versus interesse das entidades públicas ou

privadas que pretendem prosseguir a sua atividade (económica) com através das

novas tecnologias. Enfrentamos o desafio de lidar com as redes sociais difusoras

de informação (média), que não desejam ser reguladas como tal.

Consciência crescente da relevância das questões da segurança das Redes e da

Informação: qualquer conteúdo que inclua dados pessoais pode ser disponibilizado

de forma instantânea e permanente em formato digital a nível mundial.

Legislação: Proteção de dados - direitos de personalidade:

• Constituição da República Portuguesa – art. 35º; Tratado sobre o

Funcionamento da União Europeia na União Europeia - Art.º 16.º;

Carta dos Direitos Fundamentais da União Europeia – art. 8º (desde

o Tratado de Lisboa);

• Convenção Europeia para a Proteção dos Direitos do Homem e das

Liberdades Fundamentais (cfr. art.º 6.º do TUE) - garante direitos

fundamentais;

Jurisprudência - Tribunal Europeu dos Direitos do Homem: art.º 8.º da

Convenção Europeia dos Direitos do Homem, de 4 de novembro de 1950 (cfr.

Acórdão de 3 de julho de 2007, Processo 62617/00, Copland c. Reino Unido;

Acórdão de 11 de julho de 2008, Processo 20511/03, I c. Finlândia; Acórdão de

4 de dezembro de 2008, Processos 30562/04 & 30566/04, S. e Marper c. Reino

Unido).

Data Venia A Internet e o Direito ao Esquecimento

DV9 ∙ 225 |

II. Diretivas e Regulamentos Comunitários

• Regulamento (UE) 2016/679 do Parlamento Europeu e do

Conselho, de 27 de abril de 2016, relativo à proteção das pessoas

singulares, no que diz respeito ao tratamento de dados pessoais e à

livre circulação desses dados, que substituiu a Diretiva 95/46/CE, do

Parlamento Europeu e do Conselho, de 24 de outubro de 1995 -

proteção das pessoas singulares no que diz respeito ao tratamento de

dados pessoais e à livre circulação desses dados;

• Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12

de julho de 2002, relativa ao tratamento de dados pessoais e à

proteção da privacidade no setor das comunicações eletrónicas;

• Regulamento (CE) n.º 45/2001, do Parlamento Europeu e do

Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas

singulares no que diz respeito ao tratamento de dados pessoais pelas

instituições e pelos órgãos comunitários e à livre circulação desses

dados;

• Decisão-Quadro 2008/977/JAI, do Conselho, de 27 de novembro de

2008, relativa à proteção dos dados pessoais tratados no âmbito da

cooperação policial e judiciária em matéria penal;

• Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do

Conselho, de 23 de julho de 2014, relativo à identificação eletrónica

e aos serviços de confiança para as transações eletrónicas no mercado

interno;

• Regulamento (UE) n.º 526/2013, do Parlamento Europeu e do

Conselho, de 21 de maio de 2013, relativo à Agência da União

Europeia para a Segurança das Redes e da Informação – ENISA;


| 226 ∙ DV9

• Regulamento (UE) 2016/679 do Parlamento e do Conselho (relativo

a proteção das pessoas no que diz respeito ao tratamento de dados

pessoais);

• Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho

(relativa a proteção das pessoas no que diz respeito ao tratamento de

dados pessoais pelas autoridades competentes para efeitos de

prevenção, investigação, deteção ou repressão de infrações penais);

• Diretiva (UE) 2016/681 do Parlamento Europeu e do Conselho,

(relativa a utilização dos dados dos registos de identificação dos

passageiros para efeitos de prevenção, deteção, investigação e

repressão das infrações terroristas e da criminalidade grave).

O Regulamento UE 2016/679 - 27 de abril de 2016 (RGPD) procedeu a uma

reforma global das regras de proteção de dados:


DV9 ∙ 227 |

O Regulamento UE 2016/679 de 27 de abril de 2016 (RGPD) - proteção das

pessoas singulares quanto ao tratamento de dados pessoais e à livre circulação

desses dados, substituiu a Diretiva 95/46/CE, de 24/10/1995, com

reforço/proteção acrescida, do controlo exercido pelos utilizadores sobre os seus

dados, incluindo o “direito ao desaparecimento” na rede - direito ao esquecimento

e introduziu novos conceitos nomeadamente quanto à proteção e tratamento dos

dados pessoais, como:

a) Alargamento do âmbito de aplicação às entidades responsáveis (ou

subcontratantes) pelo tratamento de dados pessoais no território da União

Europeia, independentemente do local onde se encontram sediadas;

b) Reforço e maior concretização dos direitos do titular dos dados –

aprofundamento do direito à transparência e do direito de informação e acesso

aos dados pessoais, pela exigência de maior rigor no tipo de informações a prestar

ao titular dos dados e pelo incremento dos requisitos do consentimento;

c) Introdução do direito de retificação, do direito ao apagamento dos dados

pessoais - o “direito a ser esquecido” - art. 17º do RGPD - e do direito de

portabilidade dos dados – art. 20º RGDP - (neste último caso, e assim o requeira

o titular dos dados, as empresas serão obrigadas a enviar os dados pessoais que

àquele respeitem e por ele fornecidos, a um responsável pelo tratamento, bem

como não se poderão opor à transmissão desses dados a outro responsável pelo

tratamento).

d) Em matéria de proteção de pessoas singulares: consagração expressa do

«direito a ser esquecido» - art.º 17º; preocupação e proteção acrescida em torno

do tratamento de dados pessoais que envolvam crianças;

e) Densificação do “Princípio geral das transferências” – As transferências de

dados pessoais para países terceiros (ou organizações internacionais) só podem ser

realizadas se as condições previstas no RGPD forem respeitadas pelo responsável


| 228 ∙ DV9

pelo tratamento. Estas transferências podem ser realizadas com base numa decisão

de adequação da Comissão, na qual é decidido que determinado país ou território,

assegura um nível de proteção adequado (i.e. equivalente ao conferido dentro da

UE).

f) Direito ao apagamento dos dados (“right to erasure”) - “direito a ser

esquecido” (“right to be forgotten”). O direito a ser esquecido pode ser exercido,

nos seguintes casos: — os dados pessoais deixaram de ser necessários para a

finalidade que motivou o seu tratamento; — o titular retira o consentimento em

que se baseia o tratamento dos dados satisfeitos determinados pressupostos; — o

titular opõe-se ao tratamento e não existem interesses legítimos prevalecentes que

justifiquem o tratamento; — os dados pessoais foram tratados ilicitamente.

g) Direito à limitação de tratamento – art. 18º RGDP -, quando: - o titular

contestar a exatidão dos dados pessoais, durante um período que permita ao

responsável pelo tratamento verificar a sua exatidão; - o tratamento for ilícito e

o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em

contrapartida, a limitação da sua utilização; - o responsável pelo tratamento já

não precisar dos dados pessoais para fins de tratamento, mas esses dados sejam

requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito

num processo judicial.

h) Tratamento dos dados pessoais (não é um direito absoluto) - deve ser

considerado em relação à sua função na sociedade e equilibrado com outros direitos

fundamentais: princípio da proporcionalidade e respeito por todos os direitos

fundamentais e observando as liberdades e os princípios reconhecidos na

Carta Europeia dos Direitos Fundamentais) e consagrados nos Tratados.

i) Novo quadro jurídico em matéria de proteção de dados, com destaque para

o ónus incutido ao responsável (ou o subcontratante) pelo tratamento dos dados

pessoais, a quem incumbirá implementar mecanismos eficazes de códigos de

conduta (compliance).


DV9 ∙ 229 |

j) Nomeação de um encarregado de proteção de dados (data protection officer)

- DPO, em determinadas situações – arts. 37º RGPD.

Destaques e objetivos:

• Introdução do conceito de “violação de dados pessoais”;

• Maior amplitude do conceito de dados pessoais (art. 4º);

• Ónus nas organizações para introduzir medidas mais inteligentes em

relação à proteção e controlo dos dados, incluindo a forma como as

informações pessoais identificáveis (PII) dos cidadãos da EU são

recolhidas, conservadas e partilhadas;

• Direito a ser esquecido (art. 17º);

• Empresa com o ónus da prova quanto à necessidade do não

apagamento dos dados (art. 21º)

• Direito à portabilidade dos dados (art. 20º);

• Responsável pelo tratamento obrigado a assegurar que, por defeito,

só sejam tratados os dados pessoais necessários para cada finalidade

específica do tratamento (“privacy by default”);

• Responsabilidade dos subcontratantes (“data processors”): os

subcontratantes têm agora um conjunto de obrigações que lhes são

especialmente dirigidas (na Diretiva 95/46 a responsabilidade era

apenas dos responsáveis pelo tratamento);

• Tratamento desenvolvido da pseudoanonimização;

• Alterações nas diretivas que têm por objeto matérias de segurança

pública;

• Criação da figura do encarregado de proteção de dados - DPO;


| 230 ∙ DV9

• Novo quadro normativo para a proteção de dados: contrariamente ao

que existia – possibilidade de 28 legislações diferentes dos direitos

dos titulares dos dados - o espaço da UE passa a ter um ordenamento

comum nesta matéria;

• Evitar fragmentação da aplicação da proteção dos dados ao nível da

União e a insegurança jurídica quanto à proteção das pessoas

singulares.

• Estabelece o dia 25 de maio de 2018 como meta para que as

empresas/organizações adaptem as suas atuais estruturas às novas

regras em matéria de proteção de dados da União Europeia (art. 99º,

nº 2 – ultima a construção do Mercado Único Digital (Digital Single

Market) para a Europa 1 / 2.

III. Legislação nacional

⎯ Lei n.º 5/2004, de 10 de fevereiro, Lei das Comunicações Eletrónicas,

alterada pela Lei n.º 51/2011, de 13 de setembro;

⎯ Lei n.º 67/98, de 26 de outubro - Lei da Proteção de Dados Pessoais;

⎯ Lei n.º 41/2004, de 18 de agosto - tratamento de dados pessoais e

proteção da privacidade no setor das comunicações eletrónicas, alterada pela

Lei n.º 46/2012, de 29 de agosto;

1 A entrada em vigor do Regulamento 2016/679 obriga os estados membros a um esforço de

adaptação das instituições e da legislação interna para cumprir as exigências de diploma de aplicação

direta nos ordenamentos nacionais.

2 Se uma empresa estabelecida fora do espaço da UE e sem presença na UE oferecer serviços e

faça negócios que envolvam algum género de tratamento de dados pessoais, o Regulamento é-lhe

aplicável.


DV9 ∙ 231 |

⎯ Lei n.º 32/2008, de 17 de julho - conservação de dados gerados ou

tratados no contexto da oferta de serviços de comunicações eletrónicas

publicamente disponíveis ou de redes públicas de comunicações;

⎯ - Decreto-Lei n.º 290-D/99, de 2 de agosto - regula a validade, eficácia

e valor probatório dos documentos eletrónicos, a assinatura eletrónica e a

atividade de certificação de entidades certificadoras estabelecidas em Portugal,

alterado pelo Decreto-Lei n.º 62/2003, de 3 de abril e pelo Decreto-Lei nº

88/2009, de 9 de abril;

⎯ Lei n.º 109/2009, de 15 de setembro - aprova a Lei do Cibercrime

(dimensão penal) - quando o bem jurídico protegido é a própria integridade

dos Sistemas e das Redes de Comunicações Eletrónicas (Cfr. Acórdão do

Tribunal da Relação do Porto, de 8 de janeiro de 2014 tendo por objeto o

“acesso ilegítimo”);

⎯ Constituição da Republica Portuguesa - Art.ºs 26.º n.ºs 1 e 2 e 35.º. O

art. 35º nº 1 da CRP - confere aos cidadãos o “direito de acesso aos dados

informatizados que lhes digam respeito, podendo exigir a sua retificação e

atualização”, reconhecendo-lhes, ainda, “o direito de conhecer a finalidade a

que se destinam, nos termos da lei”; o art. 35º nº 3 da CRP - subcategoria de

dados pessoais: os dados pessoais sensíveis: “[a] informática não pode ser

utilizada para tratamento de dados referentes a convicções filosóficas ou

políticas, filiação partidária ou sindical, fé religiosa, vida privada e origem

étnica, salvo mediante consentimento expresso do titular, autorização prevista

por lei com garantias de não discriminação ou para processamento de dados

estatísticos não individualmente identificáveis” (vide também art. 8º Diretiva

95/46 e artº 9ª RGDP). Também os artigos 10º, 11º e 12º da Lei n.º 67/98 –

Lei da Proteção de dados Pessoais - conferem estes direitos aos titulares dos

dados;


| 232 ∙ DV9

⎯ Lei 67/98 - Lei de Proteção de dados Pessoais – além de outras

normas, contém conjunto de sanções contraordenacionais (Art.ºs 35.º a 42.º)

e tipifica os crimes respeitantes à proteção de dados: pelos responsáveis pelo

tratamento: “não cumprimento de obrigações relativas a proteção de dados”

(Art.º 43.º); “desobediência qualificada” (Art.º 46.º); e a “violação do dever de

sigilo” (Art.º 46.º); por quaisquer autores: “acesso indevido” (Art.º 44.º); “a

viciação ou destruição de dados pessoais” (Art.º 45.º); “devassa por meio da

informática” (Art.º 193.º do Código Penal);

⎯ Art. 12º da Lei n.º 67/98 (transpôs o artigo 14º da Diretiva n.º

95/46/CE – substituída pelo referido Regulamento EU 2016/679) acrescenta,

ainda, o direito de oposição, permitindo que o titular se oponha, por “razões

ponderosas e legítimas”, a que as suas informações pessoais sejam objeto de

tratamento.

A Comissão Nacional de Proteção de Dados (CNPD), entidade

administrativa independente, com poderes de autoridade, (funciona junto da

Assembleia da República) – tem competência para exercer funções consultivas, de

decisão administrativa, de investigação e, inclusivamente, funções sancionatórias

em matéria de proteção de dados dos cidadãos, em todo o território nacional (Lei

67/98 - Lei de Proteção de dados Pessoais ). A intervenção da CNPD estende-

se além-fronteiras, cabendo-lhe, ainda, um importante papel de representação

nacional junto da Comissão Europeia.

IV. Direito ao esquecimento

1. A internet necessita de um botão de delete.

Na sociedade da informação - a vertente digital da realidade - toda

informação se produz e propaga com velocidade alucinante, tendo-se convertido


DV9 ∙ 233 |

em instrumento fundamental para o desenvolvimento das atividades humanas e,

em grande parte, para o exercício e controle do poder.

O tema "privacidade" (ou a falta dela) - crescente relevância porque as pessoas

passaram a alimentar as redes sociais e a tecnologia permite que os dados sejam

utilizados fora do controle dos seus proprietários.

Direito à memória versus Direito a ser esquecido. Um dos limites à liberdade

de informar (não é um direito absoluto), é a salvaguarda do direito ao bom-nome.

Assiste aos media o direito de difundir notícias e emitir opiniões críticas ou não,

importando que o façam com respeito pela verdade e pelos direitos intangíveis de

outrem, como são os direitos de personalidade. O conflito entre o público e o

privado ganhou nova roupagem com a inundação do espaço público com questões

privadas que decorre, não só da expropriação da intimidade/privacidade por

terceiros, mas também da voluntária entrega desses bens/valores no espaço

público.

2. Direito ao esquecimento: caracterização

O direito ao esquecimento é caraterizado pela tentativa de limitar a circulação

de fatos verdadeiros e em domínio público: a informação/divulgação foi lícita. O

direito ao esquecimento não se enquadra em qualquer categoria pré-definida na

Constituição e não encontra respaldo na jurisprudência que bastas vezes se tem

pronunciado sobre violação de direitos de personalidade (difamação e direito à

privacidade): na difamação exige a divulgação de um fato falso que ofenda a

reputação de alguém; na violação da reserva da vida privada admite-se restrição a

discurso verdadeiro, sob limitações (v.g. não haja interesse público na divulgação).

O direito ao esquecimento /ser esquecido é o direito de as pessoas impedirem

a continuação do tratamento dos respetivos dados e de os mesmos serem apagados

quando deixarem de ser necessários para fins legítimos. É o caso, do tratamento


| 234 ∙ DV9

baseado no consentimento da pessoa, se essa pessoa retirar o consentimento ou

quando o período de armazenamento tiver acabado. Este direito é complementado

com a “portabilidade dos dados”, isto é, prever de forma explícita o direito de retirar

os respetivos dados (por exemplo, fotografias ou uma lista de amigos) de uma

aplicação ou serviço e transferi-los para outro, na medida das possibilidades

técnicas, sem que os responsáveis pelo tratamento o possam impedir.

3. Direito ao esquecimento: justificação

Há instituições capazes de obter, armazenar, tratar e divulgar uma quantidade

de informações sobre as pessoas, impensáveis no passado, aumentando a

vulnerabilidade dos indivíduos, na perspetiva de vigilância total e permanente

sobre o indivíduo.

As informações relativas ao passado distante de uma pessoa podem prejudicá-

la para sempre, inclusive, na vida profissional – ex. jovem que cometeu um crime

em relação ao qual as informações seriam expurgadas de seu registro criminal na

fase adulta; permanecendo o mencionado crime on line, pode impedir a pessoa de

conseguir emprego.

Em razão da facilidade de circulação e de manutenção de informação pela

internet, que faz com que se perpetue de terminado facto (mesmo que verdadeiro),

tem que existir um espaço legítimo para proteção do indivíduo e do direito ao

esquecimento na internet.

A proteção da privacidade é um dos temas mais delicados na matéria dos

direitos da personalidade – acréscimo do potencial de ofensas à personalidade com

o desenvolvimento tecnológico e dificuldade dos instrumentos de tutela

tradicionais do ordenamento realizarem adequadamente esta proteção.


DV9 ∙ 235 |

Na Europa o direito ao esquecimento tem sido tratado como uma

manifestação do direito à privacidade (Carta de Direitos Fundamentais da União

Europeia aponta, nos arts. 7.º e 8.º, o direito à privacidade e da proteção dos dados

pessoais.

É derivação do próprio direito à vida privada, a privacidade, a honra, entre

outros. Baseia-se fundamentalmente na dignidade da pessoa humana como um

novo direito da personalidade. A tutela da dignidade da pessoa humana na

sociedade da informação inclui o direito ao esquecimento.

4. Tese contrária ao direito ao esquecimento

Os argumentos da tese contrária ao direito ao esquecimento são os seguintes:

i) constitui atentado à liberdade de expressão e de imprensa;

ii) direito ao esquecimento afronta o direito à memória de toda a sociedade;

iii) direito ao esquecimento é sinal de que a privacidade é a censura do nosso

tempo;

iv) o direito ao esquecimento faz desaparecer registos sobre crimes e

criminosos que entraram para a história social, policial e judiciária, informações

de inegável interesse público;

vi) não pode uma informação lícita transformar-se em ilícita pela simples

passagem do tempo.

5. O art.º 17.º RGPP – conteúdo e análise crítica

O direito ao esquecimento/desaparecimento propõe-se ser um direito de

defesa dos cidadãos. Se alguém não mais pretender que os seus dados pessoais


| 236 ∙ DV9

sejam tratados ou armazenados por um agregador então devem ser removidos do

sistema se não existir qualquer razão para os manter: o “direito a ser esquecido”

não se pode sobrepor ao direito de “apagar a história”.

O direito a ser esquecido pode prevalecer sobre a liberdade de expressão e a

liberdade de imprensa — ponderação (casuística) entre proteção da vida privada e

liberdade de expressão.

Consiste no direito de controlo dos dados pessoais, permitindo controlar a

disponibilização online dos mesmos. Permite exigir a empresas como o Facebook

que apaguem todos os seus dados pessoais ao cancelarem o serviço - remoção dos

dados de páginas da Internet onde se encontrem incluídos, pela eliminação de

quaisquer referências aos mesmos feitas pelos motores de busca (links), incluindo

direito a apagar definitivamente fotografias e comentários, se não existirem

motivos legítimos para a sua conservação e direito a processar os sites em caso de

incumprimento da ordem do utilizador.

Imposição de limites em relação ao tempo que os sites e redes sociais podem

armazenar a informação dos utilizadores, tal como a quantidade de dados que são

visíveis online depois de ter sido requerida a sua remoção;

Dever das empresas de notificarem, à autoridade nacional de controlo, as

violações graves em matéria de dados o mais rapidamente possível (se possível, no

prazo de 24 horas);

Aplicação, pelas autoridades nacionais de coimas às empresas que violem as

regras em matéria de proteção de dados na EU.

Tratamento dos dados pessoais concebido para servir as pessoas, passando a

ser divido em três espécies: “retificação”, “apagamento” e “limitação de

tratamento”.


DV9 ∙ 237 |

O RGDP EU 2016/679 de 27 de abril de 2016 procedeu ao reconhecimento

do direito fundamental ao tratamento dos dados pessoais como derivação do

princípio da dignidade da pessoa humana na sua dupla eficácia:

a) A dimensão negativa dessa dignidade é tutelada com a materialização do

direito à proteção em face da sociedade e órgãos estatais quanto à

publicidade de dados que desconsiderem o ser humano, desrespeitando

a sua honra, imagem ou vida privada;

b) A eficácia positiva da dignidade é vivificada no direito à promoção da

autonomia existencial da pessoa – no sentido de que ela possa realizar o

seu pleno desenvolvimento sem os entraves de dados que estejam

descontextualizados ou representem situações que não mais

correspondam à realidade.

6. Direito de ser esquecido adaptado à era digital – regras

a) O ónus da prova quanto à necessidade do não apagamento dos dados

digitais passa a ser da empresa, devendo provar que as informações ainda são

necessárias ou relevantes;

b) Obrigação para aquele que controla a informação e a tornou pública, no

sentido de adotar medidas razoáveis (“reasonable steps”), conferindo publicidade

ao fato de que um indivíduo deseja deletar determinados dados;

c) As empresas devem assegurar o apagamento de dados sempre que houver

uma decisão judicial nesse sentido.

Exceções: O “direito a ser esquecido”, a luz do RGDP 2016/679, não merece

acolhimento quando o tratamento de dados se revele necessário nos seguintes

aspetos: a) exercício da liberdade de expressão e de informação; b) motivos de

interesse público no domínio da saúde pública; c) Para fins de arquivo de interesse


| 238 ∙ DV9

público, investigação científica ou histórica ou fins estatísticos, na medida em que

o direito ao apagamento seja suscetível de tornar impossível ou prejudicar

gravemente a obtenção dos objetivos desse tratamento.

V. Direito ao esquecimento – Jurisprudência

A jurisprudência teve fundamental relevância na construção do direito ao

esquecimento e consolidação/pacificação da matéria. Pese o tema não ser novo em

doutrina, só recentemente passou a ser tratado nos tribunais (Tribunal de Justiça).

A jurisprudência acolheu a tese do direito ao esquecimento, reconhecendo

explicitamente esse direito como uma decorrência imediata do direito à

privacidade e dignidade da pessoa humana.

Exemplos: Caso Melvin vs Reid, de 1931, Tribunal de Apelação da Califórnia;

caso Lebach, de 1969, Tribunal Federal da Alemanha; para além de outros mais

recentes, com relevo para o Acórdão de 13 de maio de 2014 (C-131/12), Google

Spain.

O Regulamento (UE) 2016/679 , de 27 de abril de 2016, que entrou em vigor

em 25 de maio de 2016, aplicável apenas a partir de 25 de maio de 2018 (art. 99º

nº 1 do Regulamento) , data da revogação a Diretiva 95/46/CE (art. 94º nº 1 do

Regulamento). A kurisprudência conhecida é ainda à luz da Diretiva 95/46/CE,

tendo o Regulamento 2016/679 consolidado a jurisprudência que já reconhecia o

direito a ser esquecido.

1. O caso “Lebach” - Tribunal Constitucional Alemão

Em causa o homicídio de quatro soldados alemães em 1969. Duas pessoas

foram condenadas a prisão perpétua, enquanto um terceiro foi condenado a seis

anos de prisão. Anos depois, quando o terceiro condenado estava a poucos meses


DV9 ∙ 239 |

de sair da prisão, um canal de televisão produziu um documentário retratando o

crime, simulando os fatos por meio de atores e apresentando fotos reais e os

nomes de todos os envolvidos. Em virtude disso, este terceiro condenado,

intentou ação para impedir a veiculação de documentário sobre o delito e, o

Tribunal Constitucional Federal Alemão conferiu-lhe proteção com base no

direito ao esquecimento.

Fundamentação: A proteção constitucional da personalidade não admite que

a imprensa explore por tempo ilimitado a imagem da pessoa do criminoso e de

sua vida privada; a repetição de informações, não mais coberta pelo interesse de

atualidade, sobre delitos graves ocorridos no passado, pode revelar-se inadmissível

se ela coloca em risco o processo de ressocialização do autor do delito.

2. Acórdão do STJ do Brasil, 10/09/2013 - REsp 1.334.097-RJ

Ação de indemnização com fundamento no facto de o programa de televisão

dedicado ao caso “Chacina da Candelária” ter citado o nome do acusado absolvido,

reacendendo o ódio social e violando o direito à paz, anonimato e privacidade.

Alegou que foi obrigado a abandonar a comunidade para preservar sua segurança

e a de seus familiares. O Tribunal reconheceu a existência do direito ao

esquecimento, e proibiu que um programa de televisão exibisse nome e imagens

de um acusado que fora absolvido em processo conhecido como “Chacina da

Candelária”.

Fundamentação: O réu, condenado ou absolvido, pela prática de um crime

tem o direito de ser esquecido, pois se os condenados que já cumpriram a pena

têm direito ao sigilo do registo de antecedentes e à exclusão passado algum tempo,

do registo da condenação, por maioria de razão aqueles que foram absolvidos não

podem permanecer com esse estigma, conferindo-lhes a lei o mesmo direito de

serem esquecidos. Entendeu-se que a história poderia ter sido contada de forma


| 240 ∙ DV9

fidedigna sem que para isso a imagem e o nome do autor precisassem ser expostos

em rede nacional.

3. Ac 8/4/2014 TJUE (Acórdão “Digital Rights Ireland”) - “proteção do

direito a privacidade/esquecimento” versus segurança (direito à memória).

Considerou inválida Diretiva 2006/24/CE, de 15 de março de 2006, adotada

na sequência atentados terroristas de Madrid de 11 de março de 2004 e de Londres

de 7 de julho de 2005, relativa à conservação de dados gerados ou tratados no

contexto da oferta de serviços de comunicações eletrónicas publicamente

disponíveis ou de redes públicas de comunicações.

Fundamentação:

— A luta contra a criminalidade grave assume primordial importância para

garantir a segurança pública e a sua eficácia pode depender em larga medida da

utilização das técnicas modernas de investigação;

— O objetivo de interesse geral, por mais fundamental que seja, não pode,

por si só, justificar que uma medida de conservação seja considerada necessária

para efeitos da referida luta;

— Ingerência nos direitos fundamentais garantidos pelos Art.ºs 7.º (Respeito

pela vida privada e familiar) e 8.º (Proteção de dados pessoais) da Carta, “[…] é de

grande;

— A conservação e a utilização posterior dos dados serem efetuadas sem que

o assinante ou o utilizador registado disso sejam informados é suscetível de gerar

no espírito das pessoas abrangidas, o sentimento de que a sua vida privada é objeto

de vigilância constante;


DV9 ∙ 241 |

— A Diretiva 2006/24/CE «comporta uma ingerência nestes direitos

fundamentais [os previstos nos Art.ºs 7.º e 8.º da Carta] de grande amplitude e

particular gravidade na ordem jurídica da União, sem que essa ingerência seja

enquadrada com precisão por disposições que permitam garantir que a mesma se

limita efetivamente ao estritamente necessário». amplitude e deve ser considerada

particularmente grave.

4. Tribunal de Justiça EU: Regime específico para os “dados sensíveis” –

Art.º 9º do RGDP (Artº 8.º da Diretiva 95/46)

Indicação de jurisprudência:

— Acórdão de 6 de novembro de 2003 (C-101/01), Lindqvist;

— Acórdão de 16 de dezembro de 2008 (C-73/07), Satakunnan;

— Acórdão de 9 de novembro de 2010 (C-92/09 e C- 93/09), Schecke &

Eifert;

— Acórdão de 30 de maio de 2013 (C-342/12), Worten;

— Acórdão de 17 de outubro de 2013 (C-291/12), Schwarz;

— Acórdão de 13 de maio de 2014 (C-131/12), Google Spain.

VI. O Caso Google Spain

Acórdão TJUE de 13 de maio de 2014 (C-131/12): decisão paradigmática:

Google Spain e Google a Inc. v Agencia Española de Protección de Datos e Mario

Costeja González: Costeja González exigiu que fosse eliminada a referência de nota

oficial sobre uma penhora publicada no jornal La Vanguardia de 1998, que

aparecia nos resultados das pesquisas no Google quando se digitava o seu nome,

alegando que estava a ser infringido o direito à privacidade.


| 242 ∙ DV9


DV9 ∙ 243 |

A agência de Proteção de Dados espanhola deferiu a reclamação e exigiu à

Google Inc. adoção de medidas necessárias para retirar os dados pessoais de

Costeja González.

A Google intentou ação junto do TJUE argumentando que era apenas um

motor de busca, que não fazia tratamento de dados. Está em causa saber se um

motor de busca [Google] efetua tratamento de dados e não é apenas um espaço

onde fornecedores colocam informação”. Concluiu o TJUE que a Google faz

tratamento de dados pessoais, nomeadamente quanto à indexação automática, ao

armazenamento temporário e colocação à disposição dos internautas e por isso

responsável.

Fundamentação do acórdão:

— Relevância de um “direito a não indexação”, corolário do direito a

autodeterminação informacional: o “artigo 2.º, alíneas b) e d), da Diretiva

95/46/CE (…) – atualmente art. 4º b) e d) PGDP - deve ser interpretado no

sentido de que, por um lado, a atividade de um motor de busca que consiste em

encontrar informações publicadas ou inseridas na Internet por terceiros, indexá-

las automaticamente, armazená-las temporariamente e, por último, pô-las à

disposição dos internautas por determinada ordem de preferência deve ser

qualificada de ‘tratamento de dados pessoais’ […], quando essas informações

contenham dados pessoais, e de que, por outro, o operador desse motor de busca

deve ser considerado ‘responsável’ pelo dito tratamento…”;

— “Os artigos 12.º, alínea b) da Diretiva 95/46” – atualmente arts. 16º e 17º

RGDP – “e 14.º, 1 parag, alínea a) da Diretiva” – atualmente art 21º RGDP -,

“devem ser interpretados no sentido de que, […] o operador de um motor de

busca é obrigado a suprimir da lista de resultados, exibida na sequência de uma

pesquisa efetuada a partir do nome de uma pessoa, as ligações a outras páginas

web publicadas por terceiros e que contenham informações sobre essa pessoa,

também na hipótese de esse nome ou de essas informações não serem prévia ou


| 244 ∙ DV9

simultaneamente apagadas dessas páginas web, isto, se for caso disso, mesmo

quando a sua publicação nas referidas páginas seja, em si mesma, lícita”;

— “Os artigos 12.º, alínea b)” – atualmente arts. 16º e 17º RGDP – “e 14.º,

primeiro parágrafo, alínea a), da Diretiva 95/46” - atualmente art 21º RGDP –

“devem ser interpretados no sentido de que no âmbito da apreciação das condições

de aplicação destas disposições, importa designadamente examinar se a pessoa em

causa tem o direito de que a informação em questão sobre a sua pessoa deixe de

ser associada ao seu nome através de uma lista de resultados exibida na

sequência de uma pesquisa efetuada a partir do seu nome, sem que, todavia, a

constatação desse direito pressuponha que a inclusão dessa informação nessa lista

causa prejuízo a essa pessoa”.

— “Na medida em que esta pode, tendo em conta os seus direitos

fundamentais nos termos dos artigos 7.º e 8.º da Carta, requerer que a informação

em questão deixe de estar à disposição do grande público devido à sua inclusão

nessa lista de resultados, esses direitos prevalecem, em princípio, não só sobre o

interesse económico do operador do motor de busca mas também sobre o

interesse desse público em aceder à informação numa pesquisa sobre o nome dessa

pessoa. No entanto, não será esse o caso se se afigurar que, por razões especiais

como, por exemplo, o papel desempenhado por essa pessoa na vida pública, a

ingerência nos seus direitos fundamentais é justificada pelo interesse

preponderante do referido público em ter acesso à informação em questão, em

virtude dessa inclusão.”

— O exercício dos direitos de cancelamento (desindexação) e oposição

aplicados aos motores de busca apenas afeta os resultados obtidos nas pesquisas

feitas mediante o nome da pessoa e não implica que a página deva ser eliminada

nos índices do motor de busca nem da fonte original. O link que se mostra no

motor de busca apenas deixará de ser visível quando a pesquisa seja realizada

através do nome da pessoa que exerceu o seu direito - as fontes não serão alteradas


DV9 ∙ 245 |

e o resultado continuará a ser mostrado quando a pesquisa seja feita por qualquer

outra palavra diferente do nome do afetado.

VI. Direito ao esquecimento: controvérsia subsequente

— O direito ao esquecimento como atentado à liberdade de expressão é meio-

caminho andado para a censura branqueamento da história VERSUS o interesse

do público e o interesse económico das empresas não se pode sobrepor aos direitos

fundamentais de quem pede para ser “esquecido”, dificilmente haverá consensos.

— A Google em litígio com as autoridades europeias de proteção de dados: caso

que opõe a Google à autoridade francesa de proteção de dados, que a condenou a

uma multa de 100.000€ por considerar que a desindexação de resultados não se

deve limitar às extensões europeias (Google.pt, Google.fr, Google.es, etc.) e deverá

estender-se a todas as localizações geográficas, incluindo os Estados Unidos. Na

ação que opõe Google à autoridade francesa de proteção de dados, o TJUE

condenou a autoridade francesa em multa de 100.000€. Considerando que a

desindexação de resultados não se deve limitar às extensões europeias (Google.pt,

Google.fr, Google.es, etc.) devendo abranger todas as localizações geográficas,

incluindo os Estados Unidos - decisão de maio de 2016.

Os fundamentos da pretensão da Google: — Decisão alarga perigosamente

perímetro do direito de ser esquecido, ao determinar a sua materialização através

de um filtro global, com exclusão mundial dos dados em todas as extensões do

motor de busca (não apenas na UE), de “links” que “pareçam ser inadequados,

irrelevantes ou não mais relevantes ou excessivos em razão da passagem do

tempo”; — Nações “pouco democráticas” podem obrigar a aplicar regras

autoritárias (censura em prejuízo ao acesso a informações legais em outros países.

Concluindo, avaliação casuística mostra-se necessária para definir se a

informação em questão era sensível à privacidade do indivíduo ou preponderaria


| 246 ∙ DV9

o interesse social de acesso aos dados. A Corte Europeia de Justiça (CJEU)

determinou que o “right to be forgotten” poderá ser acionado para a remoção de

“links” na internet quando a informação for imprecisa, inadequada, excessiva ou

irrelevante, o que dependerá principalmente de quanto tempo passou desde que

as referências originais da pessoa foram divulgadas.

Relevância na jurisprudência do “direito ao esquecimento”:

— Direito de não ser lembrado eternamente pelo equívoco pretérito ou por

situações constrangedoras ou vexatórias - direito a que o assunto não seja

reavivado por qualquer membro da sociedade;

— Procura de parâmetros objetivos de adequação entre a tutela da intimidade

e a liberdade de informação;

— O direito ao esquecimento não atribui o direito potestativo de apagar fatos

ou de reescrever a história: o que ele contempla é a possibilidade de se discutir os

limites da utilização concedida aos fatos pretéritos, notadamente, o modo e a

finalidade com que são lembrados;

— Garantia contra o que a doutrina tem chamado de

“superinformacionismo”.

VII. Direito ao esquecimento: uma perspetiva procedimental

Habeas Data - ação que deriva do direito constitucional - direito garantido a

todos os cidadãos, de maneira gratuita, com o intuito preventivo e corretivo.

A Habeas Data visa a tutela de direitos civis – exemplo: direito à imagem

(79º CCivil); direito à reserva da vida privada (art. 80º CCivil) e está prevista no

Regulamento 2016/679, nos arts. 77º e seguintes.


DV9 ∙ 247 |

Como forma preventiva, o habeas data funciona como uma garantia

constitucional para evitar o uso abusivo das informações das pessoas, que foram

adquiridas de modo fraudulento ou ilícito. Garante também a preservação da

intimidade, privacidade, honra e a possibilidade de corrigir informações indevidas

sobre o indivíduo solicitante junto à instituição que detém os seus registos;

permite evitar eventuais abusos e remediar erros involuntários na administração e

na publicação dos dados.

Revela-se bastante importante no que respeita à informação financeira: o

habeas data habilita a pessoa a conhecer o seu próprio historial de crédito e a saber

a quem foi fornecida essa informação. O indivíduo pode exigir que, uma vez

expirado o período de caducidade da informação, sejam apagados os seus

antecedentes negativos de crédito, por exemplo, de modo a salvaguardar o seu

bom nome. A habeas data constitui garantia sobre a gestão adequada da

informação pessoal que se encontra sob o poder de terceiros.

É o remédio constitucional considerado personalíssimo pela maior parte da

doutrina, ou seja, só pode ser impetrado por aquele que é o titular dos dados

questionados. Por exemplo, um indivíduo que tenha o seu nome indevidamente

na lista de devedores do Serviço de Proteção de Crédito, pode

impetrar habeas data contra a referida instituição para que o nome deixe de

aparecer naquele registro. Todavia, a jurisprudência vem também admitindo que

determinadas pessoas vinculadas ao indivíduo tenham legitimidade (cônjuge,

ascendente, descendente e irmã ou irmão).

VIII. Conclusões

1) O direito ao esquecimento é a manifestação dos tradicionais direitos de

cancelamento e oposição aplicados aos motores de busca na internet.


| 248 ∙ DV9

2) O direito ao esquecimento faz referência ao direito a impedir a difusão de

informação pessoal através da internet quando a sua publicação não cumpre com os

requisitos de adequação e pertinência previstos na normativa, limitando a difusão

universal e indiscriminada de dados pessoais nos motores de busca gerais quando a

informação é obsoleta ou já não tem relevância nem interesse público.

3) Não havendo um efetivo interesse público na divulgação da informação ou

sendo possível transmiti-la sem expor as informações pessoais do visado, o direito ao

esquecimento deverá prevalecer.

4) O direito ao esquecimento permite que o afetado possa opor-se, em

determinadas circunstâncias, ao tratamento dos seus dados pessoais permitindo que

através de uma consulta geral na Internet, utilizando como palavras-chave o seu nome

e apelido, faça permanentemente presentes e de conhecimento geral informações

gravemente danosas para a sua honra ou a sua intimidade.

5) Quando não exista um interesse histórico em vincular a informação aos dados

pessoais das pessoas implicadas.

6) Quando os direitos da personalidade do afetado entrem em colisão com o

direito à liberdade de informação.

7) Deve evitar-se que com uma simples pesquisa na internet se possa aceder a

informações obsoletas e gravemente prejudiciais para a sua reputação e vida privada.

8) Na Jurisprudência do Tribunal de Justiça da União Europeia (nomeadamente

Acórdãos Digital Rights Ireland e Google Spain), é patente uma orientação no

sentido de: releitura atualista das fontes vigentes em função das novas realidades

tecnológicas, procurando manter o equilíbrio inicial entre os direitos e os interesses

envolvidos; a vigilância / monitorização e o tratamento de dados apenas são legítimos

se não comprimirem desproporcionadamente os direitos das pessoas seus titulares,

mesmo estando em causa a Segurança.

9) O TJUE relevou consequências sistémicas da constitucionalização da

proteção de dados pessoais no Tratado sobre o Funcionamento da União Europeia e

na Carta dos Direitos Fundamentais da U.E.


DV9 ∙ 249 |

10) O Regulamento 2016/79 constitui importante passo no sentido do

reconhecimento do direito ao tratamento dos dados pessoais como derivação do

princípio da dignidade da pessoa humana as hipóteses em que cada uma das figuras

será contemplada.

11) Ao estabelecer que o direito de ser esquecido será adaptado a era digital, o

RGPD cria importantes regras: a) o ónus da prova quanto à necessidade do não

apagamento dos dados digitais passa a ser da empresa, devendo provar que as

informações ainda são necessárias ou relevantes (art. 21º); b) as empresas devem

assegurar o apagamento de dados sempre que houver uma decisão judicial nesse

sentido.

12) Alguns critérios podem auxiliar no momento da ponderação de direitos: —

a historicidade dos fatos, o interesse público no acesso à informação (que não pode

ser confundido com o “interesse do público”); a utilidade prática da informação para

a sociedade; e a relevância dos dados na narrativa dos fatos; — havendo colisão entre

estes direitos fundamentais, será necessário analisar o caso sob a ótica do princípio da

proporcionalidade, fazendo-se um juízo de ponderação a fim de solucionar a questão

da forma menos onerosa a todos os envolvidos; — com o Regulamento 2016/679 o

Parlamento Europeu deu maior consistência legislativa à problemática balizada por

dois temas antagónicos: o direito individual de ser esquecido e o direito da sociedade

de sempre lembrar quem nós somos ou fizemos.

13) A licitude do tratamento dos dados pessoais não exige apenas que sejam

verídicos e exatos: exige a sua adequação, pertinência e caráter não excessivo em

relação com o âmbito e as finalidades para as quais se realizou o tratamento.

14) Não se pode exigir ao editor de uma página web que depure os dados que

com o passar do tempo deixaram de ser adequados para a finalidade do tratamento,

pois isso seria um sacrifício desproporcionado para a liberdade de informação.

15) Mas pode exigir-se que dê uma resposta adequada aos afetados que exerçam

direitos de cancelamento e oposição ao tratamento de dados, cancelando o tratamento

dos seus dados pessoais quando tenha passado um período de tempo que torne o

tratamento inadequado, por carecer de relevância pública.


| 250 ∙ DV9

16) Avaliado o equilíbrio entre interesses públicos e privados, os tribunais

europeus podem ordenar aos motores de busca que eliminem links para determinadas

páginas, cujo conteúdo possa lesar as pessoas nelas citadas.

17) Ponderação casuística: mostra-se necessária uma avaliação casuística, para

definir se a informação em questão era sensível à privacidade do indivíduo ou

preponderaria o interesse social de acesso aos dados.

18) Os principais motores de pesquisa (Google, Yahoo) habilitaram os seus

próprios formulários para receber as petições de exercício dos direitos de

cancelamento e oposição (vide: https://support.google.com/legal/contact/lr_eudpa?

product=websearch&hl=ptHabeas data)

19) O Cidadão pode solicitar que a Comissão Nacional de Proteção de Dados

tutele o seu direito perante o responsável, sendo que a decisão desta de deferir ou não

a reclamação é recorrível judicialmente.

20) Relevância na jurisprudência do “direito ao esquecimento” - direito de não

ser lembrado eternamente pelo equívoco pretérito ou por situações constrangedoras

ou vexatórias - direito a que o assunto não seja reavivado por qualquer membro da

sociedade.

21) O direito ao esquecimento não atribui o direito potestativo de apagar fatos

ou de reescrever a história: o que ele contempla é a possibilidade de se discutir os

limites da utilização concedida aos fatos pretéritos, notadamente, o modo e a

finalidade com que são lembrados.

22) O Regulamento Geral sobre Proteção de Dados (RGPD) – constitui uma

mudança de paradigma na proteção de dados pessoais, passando de uma lógica

centrada nas organizações que tratam dados pessoais para uma lógica alinhada com a

proteção dos titulares dos dados. ◼

https://support.google.com/legal/contact/lr_eudpa

Data enia

REVISTA JURÍDICA DIGITAL ISSN 2182-6242

Ano 6 ⬧ N.º 09 ⬧ novembro 2018

data eniadatavenia.pt/ficheiros/edicao09/datavenia09_p223_250.pdf · o direito ao esquecimento /ser...

Documents